Configuration de TACACS avec l'interface Gigabit Ethernet 1 ISE

Introduction

Ce document décrit la configuration ISE TACACS+ avec l'interface Gigabit Ethernet 1 où le routeur et les commutateurs fonctionnent comme des périphériques réseau.

---

Informations générales

Cisco ISE prend en charge jusqu'à 6 interfaces Ethernet. Il ne peut avoir que trois liens ; liaison 0, 1 et 2. Vous ne pouvez pas modifier les interfaces qui font partie d'une liaison ou modifier le rôle de l'interface dans une liaison. 

---

Conditions préalables

Exigences

Cisco vous recommande d'avoir des connaissances sur les sujets suivants :

• Connaissances de base en réseau
• Cisco Identity Service Engine

---

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions matérielles et logicielles suivantes :

• Commutateur Cisco C9200
• Logiciel Cisco IOS^® version 17.x
• Cisco Identity Service Engine v3.3 et versions ultérieures

---

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

---

Configurer

L'objectif de la configuration de Gigabit Ethernet 1 d'ISE pour TACACS+ est d'authentifier le routeur et le commutateur avec TACACS+ avec ISE comme serveur d'authentification.

---

Diagramme du réseau

Topologie du réseau

---

Configuration de Identity Services Engine pour TACACS+

Configuration de l'adresse IP pour l'interface Gigabit Ethernet 1 dans ISE

1. Connectez-vous à l'interface de ligne de commande du noeud PSN ISE où l'administrateur du périphérique est activé et vérifiez les interfaces disponibles en exécutant la commande show interface :

---

Vérification des interfaces dans ISE

---

2. À partir de l’interface de ligne de commande du même noeud PSN, attribuez une adresse IP à l’interface Gigabit Ethernet 1 en exécutant les commandes suivantes :

• nomhôte#configure t
• nomhôteInse/admin(config)#interface Gigabit Ethernet 1
• hostnameofise/admin(config-GigabitEthernet-1)# <adresse ip> <masque de réseau de sous-réseau> % La modification de l’adresse IP peut entraîner le redémarrage des services ise
• Poursuivre le changement d'adresse IP ?
• Poursuivre ? [oui, non] oui

---

3. L’exécution de l’étape 2 entraîne le redémarrage des services de noeud ISE. Pour vérifier l'état des services ISE, exécutez la commande show application status ise et assurez-vous que l'état des services est en cours d'exécution, comme dans la capture d'écran suivante :

---

Vérification de l'état du service ISE

---

4. Vérifiez l’adresse IP de l’interface Gig1 en exécutant la commande show interface :

---

Vérification de l'adresse IP de l'interface ISE Gig2 à partir de CLI

---

5. Vérifiez la tolérance du port 49 dans le noeud ISE en exécutant la commande show ports | inc 49, commande :

---

vérification de l'autorisation port 49 dans ISE

---

Activer l'administration des périphériques dans ISE

1. Accédez à GUI of ISE > Administration > Deployment > Sélectionnez le noeud PSN, puis cochez la case Enable Device Admin Service:

---

Activation du service d'administration des périphériques dans ISE

---

Ajouter un périphérique réseau dans ISE

1. Accédez à Work Centers > Device Administration > Network Resources > Network Devices. Cliquez sur Add and Providers Name et l'adresse IP. Cochez la case TACACS+ Authentication Settings et fournissez la clé secrète partagée.

---

Configuration du périphérique réseau dans ISE

---

2. Revoyez les étapes de cette procédure en ajoutant tous les périphériques réseau requis pour l'authentification TACACS.

---

Configuration des jeux de commandes TACACS+

Deux jeux de commandes sont configurés pour la démonstration suivante :

• Permit_all_commands, est attribué à l'utilisateur admin et autorise toutes les commandes sur le périphérique. 
• permit_show_commands, est attribué à un utilisateur et autorise uniquement les commandes show

---

1. Accédez à Work Centers > Device Administration > Policy Results > TACACS Command Sets. Cliquez sur Ajouter et fournir le nom PermitAllCommands, puis activez la case à cocher Permit any command qui n'est pas répertoriée et cliquez sur Submit.

---

Configuration des jeux de commandes dans ISE

2. Accédez à Work Centers > Device Administration > Policy Results > TACACS Command Sets.Cliquez sur Add et fournissez le nom PermitShowCommands, cliquez sur Add, puis enfin sur permit show et exit. Par défaut, si les arguments sont laissés vides, tous les arguments sont inclus. Cliquez sur Submit. 

---

Configuration de permit_show_commands dans ISE

---

Configuration du profil TACACS+

Un seul profil TACACS+ est configuré et l'autorisation de commande est effectuée via des jeux de commandes.

---

1. Pour configurer un profil TACACS+, accédez à Work Centers > Device Administration > Policy Results > TACACS Profiles. Cliquez sur Add et donnez un nom au profil Shell. Cochez ensuite la case Privilège par défaut, entrez la valeur 15, puis cliquez sur Envoyer.

---

Configuration du profil TACACS dans ISE

---

Configuration du profil d'authentification et d'autorisation TACACS+

1. Connectez-vous à l'interface utilisateur graphique ISE PAN > Administration > Work Centers > Device Administration > Device Admin Policy Sets. Cliquez sur l'icône + pour créer une nouvelle stratégie. Dans cet exemple, le jeu de stratégies est nommé New Policy Set 1.

---

Configuration d'un ensemble de stratégies dans ISE

---

2. Avant d'enregistrer le jeu de stratégies, vous devez configurer les conditions. Cliquez sur l'icône + pour configurer les conditions pour l'ensemble de stratégies.

---

Configuration des conditions d'ensemble de stratégies dans ISE

---

3. Après avoir cliqué sur l'icône + à l'étape 2, la boîte de dialogue conditions studio s'ouvre. Configurez les conditions requises et Enregistrez la condition avec les conditions nouvelles ou existantes, faites défiler. Cliquez sur Utiliser.

---

Configuration des conditions d'ensemble de stratégies dans ISE

---

---

4. Une fois les conditions configurées et enregistrées, configurez les protocoles autorisés en tant qu'administrateur de périphérique par défaut. Enregistrez le jeu de stratégies créé en cliquant sur l'option Enregistrer.

---

Confirmation de configuration du jeu de stratégies.

---

5. Développez New Policy Set > Authentication Policy (1) > Create a new authentication policy en cliquant sur l'icône + ou en cliquant sur l'icône de la roue dentée. Insérez ensuite une nouvelle ligne.

---

Configuration de la stratégie d'authentification dans l'ensemble de stratégies.

---

6. Développez le Nouvel ensemble de stratégies > Stratégie d'autorisation (1). Cliquez sur l'icône + ou sur l'icône engrenage. Insérez ensuite une nouvelle ligne pour créer une stratégie d'autorisation.

---

Configuration de la stratégie d’autorisation

---

7. Configurez la stratégie d'autorisation avec des conditions, des jeux de commandes et un profil Shell mappé aux stratégies d'autorisation.

---

Configuration complète de la stratégie d'autorisation dans ISE

---

---

8. Passez en revue les 6 premières étapes de configuration des ensembles de stratégies pour le commutateur et tout autre périphérique réseau utilisé pour TACACS+.

---

Configuration des utilisateurs d'accès réseau pour l'authentification TACACS de NAD dans ISE

1. Accédez à Work Centers > Device Administration > Identities > Users. Cliquez sur l'icône + pour créer un nouvel utilisateur.

---

Configurer les utilisateurs d'accès réseau dans ISE

---

2. Fournissez les détails du nom d'utilisateur et du mot de passe, mappez l'utilisateur à un groupe d'identités d'utilisateur (facultatif), puis cliquez sur Envoyer.

---

Configurer les utilisateurs d'accès réseau - Continuer

---

3. Après avoir soumis la configuration du nom d'utilisateur dans Centres de travail > Identités > Utilisateurs > Utilisateurs d'accès au réseau, l'utilisateur est configuré et activé de manière visible.

---

Confirmation de la configuration utilisateur d'accès réseau.

---

Configuration du routeur pour TACACS+

Configuration du routeur Cisco IOS pour l'authentification et l'autorisation TACACS+

1. Connectez-vous à l'interface de ligne de commande du routeur et exécutez les commandes suivantes pour configurer TACACS dans le routeur :

• ASR1001-X(config)#aaa new-model — commande requise pour activer aaa dans NAD
• ASR1001-X(config)#aaa id_session commun. : commande requise pour activer aaa dans NAD.
• ASR1001-X(config)#aaa authentication login default group tacacs+ local
• ASR1001-X(config)#aaa authorization exec groupe par défaut tacacs+
• ASR1001-X(config)#aaa authorization network list1 groupe tacacs+
• ASR1001-X(config)#tacacs server ise1
• ASR1001-X(config-server-tacacs)#address ipv4 <adresse IP du serveur TACACS > . — adresse IP G1 de l'interface ISE.
• ASR1001-X(config-server-tacacs)# key XXXXX
• ASR1001-X(config)# aaa group server tacacs+ isegroup
• ASR1001-X(config-sg-tacacs+)#server name ise1
• ASR1001-X(config-sg-tacacs+)#ip vrf forwarding Mgmt-intf
• ASR1001-X(config-sg-tacacs+)#ip tacacs source-interface GigabitEthernet0
• ASR1001-X(config-sg-tacacs+)#ip tacacs source-interface GigabitEthernet1
• ASR1001-X(config)#exit

---

2. Après avoir enregistré les configurations TACACS+ du routeur, vérifiez la configuration TACACS+ en exécutant la commande show run aaa :

ASR1001-X#show run aaa

!

aaa authentication login default group isegroup local

aaa authorization exec default group isegroup

aaa authorization network list1 group isegroup

username admin password 0 XXXXXXX

!

serveur tacacs ise1

 address ipv4 <adresse IP du serveur TACACS>

 clé XXXXX

!

!

serveur de groupe aaa tacacs+ isegroup

 nom du serveur ise1

 ip vrf forwarding Mgmt-intf

 ip tacacs source-interface GigabitEthernet1

!

!

!

aaa new-model

aaa session-id common

!        

!      

---

Configuration du commutateur pour TACACS+

Configuration du commutateur pour l'authentification et l'autorisation TACACS+

1. Connectez-vous à l'interface de ligne de commande du commutateur et exécutez les commandes suivantes pour configurer TACACS dans le commutateur :

• C9200L-48P-4X#configure t
• Entrez les commandes de configuration, une par ligne.  Terminez par CNTL/Z.
• C9200L-48P-4X(config)#aaa nouveau modèle. — commande requise pour activer aaa dans NAD
• C9200L-48P-4X(config)#aaa id-session commun. — commande requise pour activer aaa dans NAD.
• C9200L-48P-4X(config)#aaa authentication login default group isegroup local
• C9200L-48P-4X(config)#aaa authorization exec default group isegroup
• C9200L-48P-4X(config)#aaa authorization network list1 group isegroup
• C9200L-48P-4X(config)#tacacs server ise1
• C9200L-48P-4X(config-server-tacacs)#address ipv4 <adresse IP du serveur TACACS> — Adresse IP G1 de l'interface ISE.
• C9200L-48P-4X(config-server-tacacs)#key XXXXX
• C9200L-48P(config)#aaa group server tacacs+ isegroup
• C9200L-48P(config-sg-tacacs+)#server name ise1
• C9200L-48P-4X(config)#exit
• C9200L-48P-4X#wr mem

---

---

2. Après avoir enregistré les configurations TACACS+ du commutateur, vérifiez la configuration TACACS+ en exécutant la commande show run aaa.

C9200L-48P#show run aaa

!

aaa authentication login default group isegroup local

aaa authorization exec default group isegroup

aaa authorization network list1 group isegroup

username admin password 0 XXXXX

!

!

serveur tacacs ise1

 address ipv4 <adresse IP du serveur TACACS>

 clé XXXXX

!

!

serveur de groupe aaa tacacs+ isegroup

 nom du serveur ise1

!

!

!

aaa new-model

aaa session-id common

!

!

---

Vérification

Vérification à partir du routeur

À partir de l'interface de ligne de commande du routeur, vérifiez l'authentification de TACACS+ par rapport à ISE avec l'interface Gigabit Ethernet 1 en exécutant la commande test aaa group tacacsgroupname username password new.

---

Voici un exemple de sortie du routeur et de l'ISE :

Vérification du port 49 du routeur :

ASR1001-X#telnet ISE Gig 1 interface IP 49

Tentative d'adressage IP de l'interface ISE GIg 1, 49... Open (ouvert)

ASR1001-X#test aaa group isegroup router XXXX nouveau

Envoi du mot de passe

Utilisateur authentifié avec succès

ATTRIBUTS UTILISATEUR

username 0 "router"

reply-message 0 "Mot de passe :"

---

Pour la vérification à partir d'ISE, connectez-vous à l'interface utilisateur graphique > Opérations > Journaux TACACS en direct, puis filtrez avec l'adresse IP du routeur dans le champ Détails du périphérique réseau :

---

Journaux TACACS en direct d'ISE - Vérification du routeur.

---

Vérification du commutateur

À partir de l'interface de ligne de commande du commutateur, vérifiez l'authentification de TACACS+ par rapport à ISE avec l'interface Gigabit Ethernet 1 en exécutant la commande test aaa group tacacsgroupname username password new :

Voici un exemple de sortie du commutateur et de l'ISE :

Vérification du port 49 du commutateur :

C9200L-48P# telnet Interface ISE Gig1 IP 49

Tentative d'adressage IP de l'interface ISE Gig1, 49... Open (ouvert)

C9200L-48P#test aaa group isegroup switch XXXX nouveau

Envoi du mot de passe

Utilisateur authentifié avec succès

ATTRIBUTS UTILISATEUR

username 0 "switch"

reply-message 0 "Mot de passe :"

---

Pour la vérification à partir d'ISE, connectez-vous à l'interface utilisateur graphique > Opérations > Journaux TACACS en direct, puis filtrez avec l'adresse IP du commutateur dans le champ Détails du périphérique réseau.

---

Journaux TACACS en direct d'ISE - Vérification du commutateur.

Dépannage

Cette section traite de certains problèmes courants liés aux authentifications TACACS+. 

---

Scénario 1 : L'authentification TACACS+ échoue avec "Erreur : 13017 Paquet TACACS+ reçu d'un périphérique réseau inconnu ou d'un client AAA".

Ce scénario se produit lorsque le périphérique réseau n'est pas ajouté en tant que ressources réseau dans ISE. Dans la capture d'écran suivante, le commutateur n'est pas ajouté aux ressources réseau d'ISE. 

---

Scénario de dépannage : les périphériques réseau ne sont pas ajoutés dans ISE.

---

Lors du test de l'authentification à partir du commutateur/périphérique réseau, le paquet atteint ISE comme prévu. Cependant, l'authentification échoue avec l'erreur "Erreur : 13017 Paquet TACACS+ reçu d'un périphérique réseau inconnu ou d'un client AAA."

---

Journaux TACACS en direct : échec lorsque le périphérique réseau n'est pas ajouté à ISE.

---

Vérification à partir du périphérique réseau (commutateur)

Switch#test aaa group isegroup switch XXXXXX nouveau

Utilisateur rejeté

Solution : Vérifiez si le commutateur/routeur/périphérique réseau est ajouté en tant que périphérique réseau dans ISE. Si le périphérique n'est pas ajouté, ajoutez-le à la liste des périphériques réseau dans ISE. 

---

Scénario 2 : ISE abandonne le paquet TACACS+ en silence sans aucune information

Ce scénario se produit lorsque le service d'administration des périphériques est désactivé dans ISE. Dans ce scénario, ISE abandonne le paquet et aucun journal en direct n'est vu même si l'authentification est initiée à partir du périphérique réseau qui est ajouté aux ressources réseau d'ISE. Dans cette capture d'écran, l'administration des périphériques est désactivée dans ISE. 

---

Scénario où l'administration des périphériques n'est pas activée dans ISE.

---

Lorsqu'un utilisateur lance l'authentification à partir du périphérique réseau, ISE abandonne silencieusement les paquets sans aucune information dans les journaux actifs et ISE ne répond pas au paquet Syn envoyé par le périphérique réseau pour terminer le processus d'authentification TACACS. 

---

ISE supprime les paquets en silence pendant TACACS

---

ISE ne montre aucun journal actif pendant l'authentification.

---

Aucun journal TACACS en direct - Vérification par ISE

---

Vérification à partir du périphérique réseau (commutateur)

Commutateur#

Switch#test aaa group isegroup switch XXXX nouveau

Utilisateur rejeté

Commutateur#

*Mar 14 13:54:28.144: T+ : Version 192 (0xC0), type 1, seq 1, encryption 1, SC 0

*Mar 14 13:54:28.144: T+ : session_id 10158877 (0x9B031D), dlen 14 (0xE)

*Mar 14 13:54:28.144: T+ : type:AUTHEN/START, priv_lvl:15 action:LOGIN ascii

*Mar 14 13:54:28.144: T+ : svc:LOGIN_user_len:6 port_len:0 (0x0) raddr_len:0 (0x0) data_len:0

*Mar 14 13:54:28.144: T+ : utilisateur :  aiguillage

*Mar 14 13:54:28.144: T+ : port :  

*Mar 14 13:54:28.144: T+ : rem_addr :  

*Mar 14 13:54:28.144: T+ : données :  

*Mar 14 13:54:28.144: T+ : Paquet final

---

Solution : Activez Device Administration dans ISE. 

---

Référence

• Dépannage des problèmes d'authentification TACACS
• Guide de l'administrateur de Cisco Identity Services Engine, version 3.3
• VRF pour serveurs TACACS

Historique de révision

Révision	Date de publication	Commentaires
2.0	31-Aug-2026	Mise à jour de l'introduction, de l'orthographe, de la grammaire, des lignes horizontales insérées dans des sections séparées pour plus de lisibilité, du texte de remplacement et des alertes CCW fixes.
1.0	21-Mar-2025	Première publication